JP5506568B2 - データ処理装置、データ処理装置のデータ処理方法、プログラム - Google Patents

Description

本発明は、複数の記憶手段を用いてデータ処理を行うデータ処理装置、データ処理装置のデータ処理方法、プログラムに関するものである。

近年、ＳＳＤ（ソリッドステートドライブ）と呼ばれるようなフラッシュメモリを用いた半導体記憶装置をハードディスク（ＨＤＤ）の代わりに利用する装置が増えてきている。

ＳＳＤは振動や衝撃に強い反面、容量に対してコストが高く、大容量を必要とする場合には、ＨＤＤを利用するといったストレージ装置の特性に合わせ、利用用途ごとに棲み分けが進んでいる。

また、近年はセキュリティに関する機能として、ストレージ装置に格納されたユーザデータを暗号化する機能をもつ装置がある。
例えば、画像形成装置では、ユーザが格納した原稿画像データやアドレス帳といった個人情報を、デバイスに格納する際に、暗号化復号化を行うデータ処理装置を介することで、速度低下無しにデータを保護する機能が上げられる。

このような背景から、ＳＳＤとＨＤＤの両方を搭載した情報処理装置には、ＳＳＤ側に起動に必要なシステムプログラムや初期データを保存し、ＨＤＤ側にはユーザデータを暗号化して保存する、という利用方法が一般的である。

このためセキュリティに配慮した環境で運用する場合には、暗号化にかかる処理速度低下を防ぐため、ＨＤＤ装置の内部あるいは、ＨＤＤのインタフェース部に接続した暗号化装置を経由してデータを暗号化するのが一般的である。

ここで、ＨＤＤが故障等により動作しなくなった場合に、ＨＤＤの利用のみを停止することで、例えば画像形成装置においては、システムとしては停止させず、最低限の画像形成動作が継続できることが要望されている。

例えば、特許文献１に記載された発明では、ＨＤＤの自己診断情報からＨＤＤの故障が近いと判断したときに、以下の何れかのモードに入りＨＤＤアクセスを低減する装置が提案されている。

例えばＨＤＤ読み取りのみ可能モード、ＨＤＤを使用しないモード、ＨＤＤ電源ＯＦＦモード、ＨＤＤ増設に伴うデータ吸い上げモード、などのＨＤＤ縮退動作モード等である。

特開２００８−１４８２２６号公報

下記に示す特許文献１に記載された発明では、ＨＤＤの故障検知を行い、ＨＤＤが利用できない場合には、ＨＤＤを利用しないモードにて動作する画像形成装置が提案されている。

しかしながら、暗号化装置を用いてセキュリティに配慮した環境で運用されている場合、ＨＤＤを利用しないモードで起動すると、画像形成装置に搭載された代替記憶手段にテンポラリデータを書き込む処理を行う必要がある。

この際、代替記憶手段として、例えばソリッドステートディスク（ＳＳＤ）を用いた画像形成装置の場合、暗号化装置を経由した暗号化が利用されないままデータが記録されてしまう。

この状況では、画像形成装置からＳＳＤを取り外して中身を読み出すことで、画像データ、アドレス帳などのユーザ情報を取得されてしまう事態が発生し、ユーザ情報に対するセキュリティレベルが下がってしまう。

本発明は、上記の課題を解決するためになされたもので、本発明の目的は、複数の記憶手段のうちの１つが使用できなくなった場合、オプションの状態に応じて、動作モードの実行を切り換えることができる仕組みを提供することである。

上記目的を達成する本発明のデータ処理装置は以下に示す構成を備える。
第１の記憶手段と第２の記憶手段のそれぞれにデータを記憶させることが可能なデータ処理装置であって、前記第２の記憶手段が使用できず、かつ暗号化されたデータを第２の記憶手段に記憶するオプションが選択されていない場合には、前記第１の記憶手段を用いたデータ処理を可能にする第１の動作モードを実行し、前記第２の記憶手段が使用できず、かつ前記オプションが選択されている場合には、前記第１の記憶手段を用いたデータ処理を制限する第２の動作モードを実行する制御手段と、を備えることを特徴とする。

本発明によれば、複数の記憶手段のうちの１つが使用できなくなった場合、オプションの状態に応じて、動作モードの実行を切り換えることできる。

画像形成装置の構成を示すブロック図である。 図１に示した不揮発性記憶装置の記憶領域の構成を説明する図である。 不揮発性ＲＡＭに格納される管理テーブルを示す図である。 画像形成装置の起動モードを示す図である。 画像形成装置の制御手順を説明するフローチャートである。 画像形成装置の制御手順を説明するフローチャートである。 画像形成装置の制御手順を説明するフローチャートである。 画像形成装置の制御手順を説明するフローチャートである。 画像形成装置の制御手順を説明するフローチャートである。

次に本発明を実施するための最良の形態について図面を参照して説明する。
〔第１実施形態〕
図１は、第１実施形態に係る画像形成装置の構成を示すブロック図である。なお、本実施形態では、複数の記憶手段を備えるデータ処理装置として画像形成装置を例に説明するが、本発明は画像形成装置以外のデータ処理装置に適用しても構わない。

図１において、１００は画像形成装置全体である。画像形成装置１００は、ＲＯＭ１０２あるいはＳｔｏｒａｇｅ１１０あるいはＳｔｏｒａｇｅ１１１に記憶されたソフトウェアを実行するＣＰＵ１０１を備える。なお、データ処理装置は、複数の動作モードで各種のジョブを処理する。ここで、ジョブの種別には、プリントジョブ、コピージョブ、データ転送ジョブ等が含まれる。

ＣＰＵ１０１はシステムバス１１８に接続される各デバイスを総括的に制御する。本実施形態において、画像形成装置１００は不揮発性記憶装置を複数台接続可能であり、オプションとしてＳｔｏｒａｇｅ１１１および暗号化コントローラ（ＣＲＹＰＴＣ）１１２を接続可能である。

なお、Ｓｔｏｒａｇｅ１１０およびＳｔｏｒａｇｅ１１１は、ディスクコントローラ１０９によって読み書きの制御が行われる。なお、以下の説明では、Ｓｔｏｒａｇｅ１１０をＳＳＤ（ソリッドステートドライブ）などの不揮発性の半導体記憶装置で構成し、Ｓｔｏｒａｇｅ１１１をＨＤＤ（ハードディスクドライブ）などの不揮発性の記憶装置で構成したメモリシステムを例として説明する。本実施形態では、Ｓｔｏｒａｇｅ１１０を第１の記憶手段とし、Ｓｔｏｒａｇｅ１１１を第２の記憶手段として説明する。

また、Ｓｔｏｒａｇｅ１１０およびＳｔｏｒａｇｅ１１１は、画像データを一時的に記憶する記憶領域としても使われる。
ＲＡＭ１０３は、ＣＰＵ１０１の主メモリ、ワークエリア等として機能する。外部入力コントローラ（ＰＡＮＥＬＣ）１０５は、画像形成装置に備えられた各種ボタンあるいはタッチパネル１０６等からの指示入力を制御する。

ディスプレイコントローラ（ＤＩＳＰＣ）１０７は、例えば液晶ディスプレイなどで構成される表示モジュール（ＤＩＳＰＬＡＹ）１０８の表示を制御する。ネットワークインタフェースカード（ＮＩＣ）１０４は、他のネットワーク機器あるいはファイルサーバ等と双方向にデータをやりとりする。

プリンタ１１３は、例えば電子写真方式あるいはインクジェット方式などで実現され、紙へ印刷する。スキャナ１１４は、紙に印刷された画像を読み込む。なお、多くの場合、スキャナ１１４にはオプションとしてオートドキュメントフィーダ（不図示）が装着されており、スキャナ１１４はオートドキュメントフィーダにより搬送される複数枚の原稿を自動的に読み込むことができる。

不揮発性ＲＡＭ（ＮＶＲＡＭ）１１５は、画像形成装置１００に設定された、各種設定情報およびライセンス情報を記憶している低速で中容量の不揮発メモリである。不揮発性ＲＡＭ（ＮＶＲＡＭ）１１６は、画像形成装置１００に設定された、起動モードおよびエラー情報を記憶している高速で小容量の不揮発メモリである。なお、起動モードについては、図４を参照して詳述する。

画像コントローラ（ＩＭＡＧＥＣ）１１７は、画像形成装置のＲＡＭ１０３上の画像データを処理して、ＲＡＭ１０３に出力する。画像処理には、回転・変倍・色空間変換・グレースケール変換・合成・符号化・復号化などの処理が含まれる。

図２は、図１に示した不揮発性記憶装置の記憶領域の構成を説明する図である。なお、図２に示す例では、Ｓｔｏｒａｇｅ１１０〜１１１の全ての領域を構築する形で構成した例で説明するが、Ｓｔｏｒａｇｅ１１１が存在する場合に、Ｓｔｏｒａｇｅ１１０の一部の領域が利用されなくなっても構わないものとしている。

Ｓｔｏｒａｇｅ１１０内の記憶領域全体２００は、いくつかの領域（パーティション）に分割されて目的別に利用される。
例として、プログラム領域２０１、拡張ソフト格納領域２０２、拡張ソフト一時格納領域２０３、画像データ処理領域２０４、ユーザボックス領域２０５、ログデータ保存領域２０６に分割されている。

Ｓｔｏｒａｇｅ１１１内の記憶領域全体２１０も同様に、いくつかの領域（パーティション）に分割されて目的別に利用される。
例として、拡張プログラム領域２１１、拡張ソフト格納領域２１２、拡張印刷キュー領域２１３、拡張画像データ領域２１４、拡張ボックス領域２１５、拡張ログデータ保存領域２１６に分割されている。

プログラム領域２０１および拡張プログラム領域２１１はＯＳを含むプログラムや辞書や言語などのリソースデータが格納される。拡張ソフト格納領域２０２および拡張ソフト格納領域２１２は追加機能を実現するソフトウェアが格納される。プログラム領域およびソフト格納領域の２系統の領域は、システムによって利用され、ユーザデータが格納されることはない。

拡張ソフト一時格納領域２０３は、拡張ソフトウェアが実行時に一時的にファイルを作成するための領域である。拡張印刷キュー領域２１３は、ネットワークインタフェースカード（ＮＩＣ）１０４が受信した印刷データを一時的に蓄積する領域である。

画像データ処理領域２０４および拡張画像データ領域２１４は、印刷する画像データの画像処理結果を一時格納する領域である。
ユーザボックス領域２０５および拡張ボックス領域２１５は、ユーザが格納した画像データ等を格納する領域である。ログデータ保存領域２０６および拡張ログデータ保存領域２１６は、プログラムの動作状況や、ジョブ状況をロギングするための領域である。

Ｓｔｏｒａｇｅ１１０およびＳｔｏｒａｇｅ１１１は、このように目的ごとに領域を分けて使用する。
この中でユーザが作成したデータを預かるのは、拡張ソフト一時格納領域２０３、拡張印刷キュー領域２１３、画像データ処理領域２０４、拡張画像データ領域２１４、ユーザボックス領域２０５、拡張ボックス領域２１５、ログデータ保存領域２０６、拡張ログデータ保存領域２１６の８領域である。したがって、セキュリティ運用されている場合は、これらの格納領域にファイルを登録する場合あるいはこれらの格納領域のファイルを更新する場合、ファイルのデータ部分を確実に暗号化する必要がある。

図３は、図１に示した不揮発性ＲＡＭ（ＮＶＲＡＭ１）１１５に格納される管理テーブル（ライセンス管理テーブル）を示す図である。なお、本実施形態において、ＮＶＲＡＭ１１５は、Ｓｔｏｒａｇｅ１１１にデータを記憶させる際にデータを暗号化するオプションを有効とするか無効とするかを示す情報として以下の情報を不揮発性に保持する。また、上記情報は、後述する図６に示す手順に従い、ＣＰＵ１０１により参照される。

図３において、管理テーブル３００は、通し番号３０１、オプション情報３０２、状態３０３の情報で構成される。
通し番号３０１はオプションを識別する単なる管理上の通し番号である。オプション情報（運用オプション）３０２は、オプションを識別する管理上のＩＤである。
状態３０３は、オプションが有効化されており、画像形成装置１００がオプションを使用するために十分なメモリ量やハードウェアを持っているモデルであるかを示すフラグ、オプションのライセンスが有効化されているか否かを示すフラグである。この状態３０３が「０」の場合は、オプションが動作しないことを示し、「１」の場合は、オプションが動作すること、またはオプションのライセンスが有効であることを示している。

画像形成装置１００では、特定のオプションが有効になっているか否かで、セキュリティ運用下にあるかが決定される。
本実施形態において、セキュリティ運用とは、ソフトウェア暗号化オプション３０４や、ハードウェア暗号化オプション３０５のいずれかが有効化されていることを意味している。

例えば、ハードウェア暗号化オプション３０５を有効化するためには、暗号化コントローラ（ＣＲＹＰＴＣ）１１２が接続および動作しており、ハードディスクオプション３０６が有効化されており、且つ暗号化ライセンス［不図示］がインストールされていることが条件になる。

次に、本発明における特徴的な部分について更に述べる。
図４は、画像形成装置１００の起動モードを示す図である。本実施形態ではモード４０１を第１の動作モードの例とし、モード４０３，４０４を含むモードを第２のモード動作の例として説明する。
画像形成装置１００が起動する際に、ＣＰＵ１０１は不揮発性ＲＡＭ（ＮＶＲＡＭ）１１６を参照して、起動モードを決定する。
ライセンス情報やハードウェアの初期化が完了するまで起動を保留すると、起動時間が延び、ユーザの操作性や使い勝手が損なわれるため、ＮＶＲＡＭ１１６を参照して起動モードを決定する。
ＮＶＲＡＭ１１６には、図４に示すモード４０１〜４０４のいずれかを示す起動モード情報が格納されている。

この起動モード情報は、画像形成装置１００が正常に起動した後、ＣＰＵ１０１が、ＮＶＲＡＭ１１５の情報を読み取って、次回の起動のために予め設定しておく。画像形成装置１００が一番初めに起動するときには、起動モード情報はオプションの状態に応じてデフォルトのモード（例えばモード４０１やモード４０２）を示している。
モード４０１はＦＬＡＳＨ通常モードであり、本実施形態では、ＳＳＤで構成されるＳｔｏｒａｇｅ１１０のみを使って動作するモードである。起動モード情報がこのモード４０１を示している場合、画像形成装置１００は、システム領域およびデータ領域としてＳｔｏｒａｇｅ１１０のみを使用する。このモード４０１では、ＣＰＵ１０１は、例えばＨＤＤで構成されるＳｔｏｒａｇｅ１１１の存在を検出しても、Ｓｔｏｒａｇｅ１１１は存在しないものとして起動処理を行う。モード４０１では、画像データやユーザ設定などのデータはＳｔｏｒａｇｅ１１０のみに保存される。

モード４０２はＨＤＤ通常モードで、ＳＳＤで構成されるＳｔｏｒａｇｅ１１０とＨＤＤで構成されるＳｔｏｒａｇｅ１１１の両方を使って動作するモードである。ＨＤＤオプションを有効化することで、起動モードがモード４０１からモード４０２に切り替わる。すると、画像形成装置１００は次回起動時にＨＤＤ通常モードで起動する。

起動モード情報がこのモード４０２を示している場合、画像形成装置１００は、システム領域としてＳｔｏｒａｇｅ１１０を使用し、データ領域としてＳｔｏｒａｇｅ１１１を使用する。この場合には、画像データやユーザ設定などのセキュリティ管理が必要なデータはＳｔｏｒａｇｅ１１１のみに保存される。

モード４０３はＨＤＤ故障モードで、ＳＳＤで構成されるＳｔｏｒａｇｅ１１０のみで動作し、ＨＤＤで構成されるＳｔｏｒａｇｅ１１１を検出するが利用しないモードである。ＨＤＤオプションが異常を発生することで、起動モードがモード４０２からモード４０３へ切り替わる。すると、画像形成装置は次回起動時にモード４０３で起動する。この場合、画像形成装置１００は、システム領域およびデータ領域としてＳｔｏｒａｇｅ１１０を使用する。

ただし、モード４０３では、ＨＤＤエラー画面がタッチパネル１０６に表示され、ユーザはデータを作成・更新することができないように制御される。この処理は、縮退処理の一例である。
モード４０３に移行した場合は、サービスマンがＳｔｏｒａｇｅ１１１に対応するＨＤＤの復旧の操作を行うことで、起動モードをＨＤＤ通常モードに戻すことができる。

一方で、モード４０３に遷移した後、ユーザはモード４０１で起動することを選択することもできる。この選択に関しては後述する。

モード４０４は動作制限モードで、ＳＳＤで構成されるＳｔｏｒａｇｅ１１０のみを使って動作するモードである。なお、ユーザは、タッチパネル１０６に表示されるボタンを操作して、モード４０４で起動することを選択できる。
モード４０４において、画像形成装置１００は、システム領域およびデータ領域としてＳＳＤで構成されるＳｔｏｒａｇｅ１１０のみを使用して動作するが、ＳＳＤにおけるデータ領域の更新を行わない。

つまり、モード４０４において、ＣＰＵ１０１は、ユーザがＳｔｏｒａｇｅ１１０のデータ領域の更新を行う可能性のある操作をすべて選択できないよう制限した状態で起動する。これも縮退処理の一例である。

より具体的には、画像蓄積ボタン、部数設定ボタン、ソート設定ボタン、蓄積画像操作関連ボタン、設定の変更の操作画面、および、ため置きされるジョブの操作画面がグレーアウトあるいは非表示になるようにＣＰＵ１０１は制御を行う。動作制限モードは第２実施形態で詳細に説明する。

次に、起動モード決定処理について図５のフローチャートを用いて説明する。この起動モード決定処理は、例えば画像形成装置１００が動作を終了する直前に、実行される。
図５は、本実施形態を示す画像形成装置の制御手順を説明するフローチャートである。本例は、起動モード決定処理の流れの概要に対応する。なお、各ステップは、ＣＰＵ１０１がＲＡＭ１０３に制御プログラムをロードして実行することで実現される。

ＣＰＵ１０１は、まず停止すべきオプションを特定するために、異常検出処理を行う（Ｓ５０１）。

例えば異常検出した箇所がＳｔｏｒａｇｅ１１１や暗号化コントローラ１１２であれば、ＨＤＤオプションに関連しているオプションを特定して停止対象とする。
次に、ＣＰＵ１０１は、Ｓｔｏｒａｇｅ１１１や暗号化コントローラ１１２が運用されているかを特定するために、ＮＶＲＡＭ１１５からセキュリティオプション情報を取得する（Ｓ５０２）。セキュリティオプション情報は、ソフトウェア暗号化オプション３０４やハードウェア暗号化オプション３０５などである。

次に、ＣＰＵ１０１は、Ｓ５０１で異常が検出されたかを判定する（Ｓ５０３）。異常が検出されている場合には、Ｓ５０４に進む。
次に、ＣＰＵ１０１は、Ｓ５０１で検出した異常と、Ｓ５０２で取得したセキュリティオプション情報とに応じて、次回起動時の起動モードを更新する起動モード更新処理を行う（Ｓ５０４）。これにより、ＮＶＲＡＭ１１６の起動モード情報が更新される。

Ｓ５０４に対応する起動モード更新処理についての詳細な処理を図６のフローチャートを用いて説明する。
図６は、本実施形態を示す画像形成装置の制御手順を説明するフローチャートである。なお、各ステップは、ＣＰＵ１０１がＲＡＭ１０３に制御プログラムをロードして実行することで実現される。

まず、ＣＰＵ１０１は、Ｓ５０１で検出した異常に基づいて、発生している異常がＨＤＤおよび／あるいは暗号化装置に関わるものであるかを判定する（Ｓ６０１）。この判定した結果、ＨＤＤおよび暗号化装置以外の異常が発生しているとＣＰＵ１０１が判定した場合には、起動モードの更新を行わずに処理を終了する。

一方、Ｓ６０１で、ＨＤＤおよび／あるいは暗号化装置の異常が発生しているとＣＰＵ１０１が判断した場合は、Ｓ６０２へ進む。
そして、ＣＰＵ１０１は、Ｓ５０２で取得したセキュリティオプション情報に基づいて、セキュリティライセンスが有効であるか判定する（Ｓ６０２）。図３の管理テーブルにおいて、ソフトウェア暗号化オプション３０４やハードウェア暗号化オプション３０５のいずれかが有効になっていれば、セキュリティライセンスが有効であると判定する。ここで、セキュリティライセンスが無効であるとＣＰＵ１０１が判定した場合には、起動モードをＦＬＡＳＨ通常モード（図４に示したモード４０１に対応する）に変更できると判定し、Ｓ６０５に進む。

一方、Ｓ６０２でセキュリティライセンスが有効であるとＣＰＵ１０１が判定した場合には、さらにセキュリティに関連する各種設定をＮＶＲＡＭ１１５から取得する（Ｓ６０３）。

なお、セキュリティに関連する各種設定には、暗号化鍵が生成されているか、暗号化するデータの対象が存在するか、暗号化されたデータのレコード数が１以上であるか、暗号化方式がスルー設定以外であるか、など、暗号化が実際に利用されているか否かの情報が含まれる。

次に、ＣＰＵ１０１は、Ｓ６０３で取得した情報から、暗号化ライセンスが実際に運用されているかを判定する（Ｓ６０４）。ここで、暗号化ライセンスが運用されているとＣＰＵ１０１が判定した場合、ＣＰＵ１０１は縮退指示なし（縮退をしない）を示す情報をＮＶＲＡＭ１１６に格納して（Ｓ６０６）、動作モード判定処理を終了する。暗号化ライセンスが実際に運用されている場合には、ＦＬＡＳＨ通常モードに切り替えることでセキュリティレベルが下がってしまうので、ＦＬＡＳＨ通常モードへの縮退は行わない。

この場合、ＣＰＵ１０１は、ＮＶＲＡＭ１１６の起動モード情報が示す起動モードをＨＤＤ故障モード（図４に示したモード４０３）に変更する。またこのとき、ＣＰＵ１０１は、タッチパネル１０６に、ＨＤＤあるいは暗号化装置のエラーを示すエラー画面［不図示］を表示し、サービスマンによるＨＤＤの復旧が完了するまで、現状状態を継続する。

一方、Ｓ６０４で、暗号化ライセンスが運用されていないとＣＰＵ１０１が判定した場合、動作モードをＦＬＡＳＨ通常モード（図４に示したモード４０１）に変更できると判定し、Ｓ６０５に進む。

つまり、Ｓ６０２の判定で、セキュリティライセンスが無効である、あるいは、Ｓ６０４の判定で、暗号化ライセンスが運用されていないとＣＰＵ１０１が判定した場合は、Ｓ６０５へ進む。

そして、Ｓ６０５で、ＣＰＵ１０１は、ＦＬＡＳＨ通常モード（図４に示したモード４０１）への切り替えが可能であると判定し、ＨＤＤを利用しない縮退動作へ移行するための変更ボタン（以下、変更ボタン）をタッチパネル１０６に表示する。

この場合、画像形成装置１００のタッチパネル１０６上には、ＨＤＤあるいは暗号化装置のエラーを示すエラー画面とともに変更ボタンがタッチパネル１０６に表示（不図示）される。

ユーザは、タッチパネル１０６に表示された変更ボタンを押下することで、サービスマンによるＨＤＤの復旧を待たずに、動作モードをＦＬＡＳＨ通常モード（図４に示したモード４０１）に切り替えることができる。

ＣＰＵ１０１は、ユーザが変更ボタンを押下したかどうかを判断する（Ｓ６０７）。
なお、ＣＰＵ１０１が、ユーザにより変更ボタンが押されたと判断した場合には、ＮＶＲＡＭ１１６の起動モード情報が示す起動モードをＨＤＤ故障モードに変更し、縮退指示あり（縮退をする）を示す情報をＮＶＲＡＭ１１６に格納する（Ｓ６０８）。

ＣＰＵ１０１が、ユーザにより変更ボタンが押されていないと判断した場合には、ＮＶＲＡＭ１１６の起動モード情報が示す起動モードをＨＤＤ故障モードに変更し、縮退指示なし（縮退をしない）を示す情報をＮＶＲＡＭ１１６に格納する（Ｓ６０６）。

Ｓ６０６やＳ６０８で起動モードが変更されない場合には、起動モードはそのままであり、ＮＶＲＡＭ１１６の起動モード情報はＦＬＡＳＨ通常モードまたはＨＤＤ通常モードを示している。

次に、画像形成装置の起動時における起動モード判定処理について図７のフローチャートを用いて説明する。
図７は、本実施形態を示す画像形成装置の制御手順を説明するフローチャートである。なお、各ステップは、ＣＰＵ１０１がＲＡＭ１０３に制御プログラムをロードして実行することで実現される。前述したように画像形成装置１００が起動する際にＣＰＵ１０１は、ＮＶＲＡＭ１１６の起動モード情報を参照して起動時に必要な記憶装置を決定する。

ＣＰＵ１０１は、ＮＶＲＡＭ１１６の起動モード情報を読み取り、起動モードがＨＤＤを利用するモード（ＨＤＤ通常モードあるいはＨＤＤ故障モード）であるかを判定する（Ｓ７０１）。ここで、ＨＤＤを利用しないモードとは、Ｓｔｏｒａｇｅ１１０のみを利用して動作するモードをいい、ＨＤＤを利用するモードとは、Ｓｔｏｒａｇｅ１１１を利用するモードをいう。

この判定の結果、ＨＤＤを利用しない起動モードであるとＣＰＵ１０１が判定した場合、ＦＬＡＳＨ通常モード（図４に示したモード４０１）に決定し（Ｓ７０８）、判定処理を終了する。
一方、Ｓ７０１で、起動モードがＨＤＤを利用するモードであるとＣＰＵ１０１が判定した場合は、起動モードがＨＤＤ故障モード（図４に示したモード４０３）であるか否かをさらに判定する（Ｓ７０２）。

この判定の結果、ＨＤＤ故障モードで（図４に示したモード４０３）あるとＣＰＵ１０１が判断した場合には、ＣＰＵ１０１は、ＨＤＤの異常が現在も継続しているかを判定する処理を実行する（Ｓ７０３）。一方、Ｓ７０２でＨＤＤ故障モードでないとＣＰＵ１０１が判断した場合には、Ｓ７０７へ進む。

なお、Ｓ７０３において、ＨＤＤの異常が継続しているかの判定処理には、ブロックデバイスの検知、ファイルシステム異常検知、マウントテスト処理、ファイルリードライトテスト処理が含まれる。また、ファイル生成削除テスト処理、ＳＭＡＲＴ情報取得による判定処理を含めてもよい。

次に、ＣＰＵ１０１は、Ｓ７０３で実行された判定処理に従い、ＨＤＤが復旧しているか否かを判定する（Ｓ７０４）。
なお、Ｓ７０４において、Ｓ７０３によるテストが問題なく通ったとＣＰＵ１０１が判定した場合には、ＨＤＤは異常から復旧したと判定する。
この場合には、ＣＰＵ１０１は起動モードをＨＤＤ通常モード（図４に示したモード４０２）に決定し（Ｓ７０７）、起動モード判定処理を終了する。
一方、Ｓ７０４で、ＨＤＤが異常から復旧していないとＣＰＵ１０１が判定した場合には、ＣＰＵ１０１は、縮退指示ありの設定がなされているかの判定を行う（Ｓ７０５）。つまり、縮退指示ありを示す情報がＮＶＲＡＭ１１６に格納されているかを判定する。ここで縮退指示がないとＣＰＵ１０１が判定した場合には、起動モードをＨＤＤ故障モード（図４に示したモード４０３）に決定し（Ｓ７０９）、起動モード判定処理を終了する。

一方、Ｓ７０５で、縮退指示があるとＣＰＵ１０１が判定した場合は、ＣＰＵ１０１は、起動モードをＦＬＡＳＨ通常モード（図４に示したモード４０１）に決定し（Ｓ７０６）、起動モード判定処理を終了する。

起動モード判定処理が終了した後は、画像形成装置１００は、決定した起動モードで起動する。
これにより、セキュリティ運用を行うＨＤＤを使用する画像形成装置において、ＨＤＤが故障等により使用できない場合、セキュリティの運用状況に応じて適切な縮退処理を実行することができる。

しかも、セキュリティ上問題となる処理が運用されている場合は、ＨＤＤが復旧するまでデータ処理が実行できないように制御できるため、仮にＳＳＤが取り外されても、ＳＳＤに記憶されてしまうユーザ情報が第三者に読み取られてしまうことを防止できる。

また、ＨＤＤ等に故障が発生しても、ＨＤＤでセキュリティ運用を実行していない場合は、ＳＳＤを利用して画像処理が実行できるため、ユーザが頻繁に使用する可能性の高い機能処理が停止してしまうダウンタイムも発生しない。

〔第２実施形態〕
上記第１実施形態では、縮退指示が有効であると判定した場合に、Ｓ７０６で動作モードをＦＬＡＳＨ通常モードに変更する場合について説明した。また、第１実施形態では、暗号化ライセンスが運用されている場合、起動モードをＨＤＤ故障モードに変更する場合について説明した。第２実施形態では、暗号化ライセンスが運用されている場合でも、起動モードを動作制限モードに変更できるようにする。これにより、ＨＤＤおよび／あるいは暗号化装置で異常が発生していて、かつ暗号化ライセンスが運用されている場合でも、セキュリティがある程度保たれる範囲で、ユーザが画像形成装置１００を利用できるようにする。

そこで、第２実施形態では、図６を下記のように変更する。
暗号化ライセンスが運用されているとＣＰＵ１０１がＳ６０４で判定した場合、ＣＰＵ１０１は変更ボタンをタッチパネル１０６に表示する。ユーザがその変更ボタンを押下した場合には、ＣＰＵ１０１は、ＮＶＲＡＭ１１６の起動モード情報が示す起動モードをＨＤＤ故障モードに変更し、縮退指示あり（縮退をする）を示す情報と動作制限モードへ縮退することを示す情報とをＮＶＲＡＭ１１６に格納する。ユーザが変更ボタンを押下しない場合には、ＣＰＵ１０１は、ＮＶＲＡＭ１１６の起動モード情報が示す起動モードをＨＤＤ故障モードに変更し、縮退指示なし（縮退をしない）を示す情報をＮＶＲＡＭ１１６に格納する。

第２実施形態では、画像形成装置１００は起動時に、図８に示す起動モード判定処理を実行する。
図８は、本実施形態を示す画像形成装置の制御手順を説明するフローチャートである。なお、各ステップは、ＣＰＵ１０１がＲＡＭ１０３に制御プログラムをロードして実行することで実現される。前述したように画像形成装置１００が起動する際にＣＰＵ１０１は、ＮＶＲＡＭ１１６の起動モードを参照して起動時に必要な記憶装置を決定する。
以下、本実施形態の処理を第１実施形態の図７に示した手順と異なる処理を説明する。
縮退指示があるとＣＰＵ１０１がＳ７０５で判定した場合、ＣＰＵ１０１は、動作制限モードへ縮退するかを判定する（Ｓ８０１）。すなわち、ＣＰＵ１０１は、動作制限モードへ縮退することを示す情報がＮＶＲＡＭ１１６に格納されているかを判定する。動作制限モードへ縮退しない場合には、ＣＰＵ１０１は起動モードをＦＬＡＳＨ通常モード（図４に示したモード４０１）に決定する（Ｓ７０６）。一方、動作制限モードへ縮退する場合には、ＣＰＵ１０１は起動モードを動作制限モード（図４に示したモード４０４）に決定する（Ｓ８０２）。

次に、画像形成装置の動作制限モードについて、図９のフローチャートを用いて説明する。
図９は、本実施形態を示す画像形成装置の制御手順を説明するフローチャートである。本例は、動作制限モードでの表示制限処理の概要に対応する。なお、各ステップは、ＣＰＵ１０１がＲＡＭ１０３に制御プログラムをロードして実行することで実現される。

本実施形態では、画像形成装置１００は、ＨＤＤが故障しており、暗号化運用がなされているとＣＰＵ１０１が判定し、かつ上述したように縮退指示がなされた場合に、動作制限モードで起動する。

まず、ＣＰＵ１０１は表示制限処理を実行する（Ｓ９０１）。
この表示制限処理には、画像蓄積ボタン、部数指定ボタン、ソート指定ボタン、蓄積画像操作関連ボタン、設定変更ボタン、不揮発ジョブ関連のボタンを非表示する処理が含まれる。ここで、不揮発ジョブとは、送信ジョブやタイマによる予約ジョブが含まれる。

次に、ＣＰＵ１０１は、Ｓｔｏｒａｇｅ１１０に対する出力開始時間（二次記憶出力開始時間）を設定するための開始タイマに無制限を設定して（Ｓ９０２）、本処理を終了する。

この設定により、例えばスキャナ１１４が原稿を読み取って、あるいはＮＩＣ１０４がＰＤＬデータを受信して、画像処理コントローラ１１７を介して、ＲＡＭ１０３上に蓄積された画像データは、以下のように処理される。

具体的には、ＣＰＵ１０１がＲＡＭ１０３上に蓄積された画像データは、プリンタ１１３が画像データを取得するまでに、所定時間がかかってもＳｔｏｒａｇｅ１１０上に出力しないように制御する。

このため、動作制限モードにおいては、テンポラリデータ（上記ＲＡＭ１０３の画像データ）がＳｔｏｒａｇｅ１１０に書き込まれることが制限される。
本実施形態によれば、画像形成装置に設定されたセキュリティ運用状況を判断することで、セキュリティ運用している記憶手段が故障した場合でも、セキュリティレベルを下げずに済む。また、起動モードが上記いずれかのモードに決定された状況において、ユーザが利用できる縮退機能を選択することが可能となる。

また、本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア（プログラム）を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。

本発明は上記実施形態に限定されるものではなく、本発明の趣旨に基づき種々の変形（各実施形態の有機的な組合せを含む）が可能であり、それらを本発明の範囲から除外するものではない。

本発明の様々な例と実施形態を示して説明したが、当業者であれば、本発明の趣旨と範囲は、本明細書内の特定の説明に限定されるのではない。

１０１ ＣＰＵ
１０３ ＲＡＭ
１１５、１１６ ＮＶＲＡＭ
１１０、１１１ Ｓｔｏｒａｇｅ

Claims (15)

1. 第１の記憶手段と第２の記憶手段のそれぞれにデータを記憶させることが可能なデータ処理装置であって、
   前記第２の記憶手段が使用できず、かつ暗号化されたデータを第２の記憶手段に記憶するオプションが選択されていない場合には、前記第１の記憶手段を用いたデータ処理を可能にする第１の動作モードを実行し、
   前記第２の記憶手段が使用できず、かつ前記オプションが選択されている場合には、前記第１の記憶手段を用いたデータ処理を制限する第２の動作モードを実行する制御手段と、
   を備えることを特徴とするデータ処理装置。
2. 前記制御手段は、前記第２の記憶手段が使用できず、かつ前記オプションが選択されていない場合、実行するジョブを制限して前記第１の記憶手段を用いたデータ処理を制限する前記第２の動作モードを実行することを特徴とする請求項１記載のデータ処理装置。
3. 前記制御手段は、前記第２の動作モードでは、前記第１の記憶手段に記憶されたデータを更新することなしに前記第１の記憶手段を用いたデータ処理を実行することを特徴とする請求項１記載のデータ処理装置。
4. 前記第１の記憶手段をソリッドステートドライブで構成し、前記第２の記憶手段をハードディスクドライブで構成することを特徴とする請求項１乃至３のいずれか１項に記載のデータ処理装置。
5. 前記第２の記憶手段が使用できず、かつ前記オプションが選択されていない場合、前記第１の動作モードを実行するかどうかをユーザに選択させる選択手段をさらに有し、
   前記制御手段は、前記ユーザが前記第１の動作モードを実行することを選択した場合、前記第１の動作モードを実行し、前記ユーザが前記第１の動作モードを実行することを選択しなかった場合、前記第２の動作モードを実行することを特徴とする請求項１乃至４のいずれか１項に記載のデータ処理装置。
6. 暗号化されたデータを前記第２の記憶手段に記憶する前記オプションを有効とするか否かを示すオプション情報を保持する保持手段と、
   前記オプション情報に基づいて、前記オプションが選択されているか否かを判断する判断手段をさらに有することを特徴とする請求項１乃至５のいずれか１項に記載のデータ処理装置。
7. 前記第２の記憶手段が使用できない場合とは、前記第２の記憶手段で異常が発生した場合であることを特徴とする請求項１乃至６のいずれか１項に記載のデータ処理装置。
8. 前記第２の記憶手段に記憶されるべきデータを暗号化する暗号化手段を有し、
   前記第２の記憶手段が使用できない場合とは、前記暗号化手段で異常が発生した場合であることを特徴とする請求項１乃至６のいずれか１項に記載のデータ処理装置。
9. 前記オプションは、ハードウェアまたはソフトウェアで暗号化されたデータを前記第２の記憶手段に記憶するオプションであることを特徴とする請求項１乃至８のいずれか１項に記載のデータ処理装置。
10. 前記制御手段は、前記第２の記憶手段が使用できる場合には、前記第１の記憶手段と前記第２の記憶手段とを用いたデータ処理を実行する第３の動作モードを実行することを特徴とする請求項１乃至９のいずれか１項に記載のデータ処理装置。
11. 第１の記憶手段と第２の記憶手段のそれぞれにデータを記憶させることが可能なデータ処理装置であって、
    前記第２の記憶手段が使用できず、かつ前記第２の記憶手段に記憶されるデータのセキュリティを高めるオプションが選択されていない場合には、前記第１の記憶手段を用いたデータ処理を可能にする第１の動作モードを実行し、
    前記第２の記憶手段が使用できず、かつ前記オプションが選択されている場合には、前記第１の記憶手段を用いたデータ処理を制限する第２の動作モードを実行する制御手段と、
    を備えることを特徴とするデータ処理装置。
12. 第１の記憶手段と第２の記憶手段のそれぞれにデータを記憶させることが可能なデータ処理装置の制御方法であって、
    前記第２の記憶手段が使用できず、かつ暗号化されたデータを第２の記憶手段に記憶するオプションが選択されていない場合には、前記第１の記憶手段を用いたデータ処理を可能にする第１の動作モードを実行し、
    前記第２の記憶手段が使用できず、かつ前記オプションが選択されている場合には、前記第１の記憶手段を用いたデータ処理を制限する第２の動作モードを実行する制御工程と、
    を備えることを特徴とするデータ処理装置の制御方法。
13. 前記制御工程は、前記第２の記憶手段が使用できず、かつ前記オプションが選択されていない場合、実行するジョブを制限して前記第１の記憶手段を用いたデータ処理を制限する前記第２の動作モードを実行することを特徴とする請求項１２記載のデータ処理装置の制御方法。
14. 前記制御工程は、前記第２の動作モードでは、前記第１の記憶手段に記憶されたデータを更新することなしに前記第１の記憶手段を用いたデータ処理を実行することを特徴とする請求項１２記載のデータ処理装置の制御方法。
15. 請求項１２乃至１４のいずれか１項に記載のデータ処理装置の制御方法をコンピュータに実行させることを特徴とするプログラム。

Images